Wat een media-app op je telefoon kan zien, en wat hij nooit hoort te versturen

Het eerste is je bibliotheek — bestandsnamen, mappenstructuur, wat je afspeelde en wanneer. Dat is ongewoon onthullend. Een lijst met bestandsnamen zegt meer over iemand dan de meeste contactenlijsten, en het is voor een app spelenderwijs eenvoudig om die in een statistiekgebeurtenis te stoppen zonder dat iemand kwaad in de zin heeft.

Het tweede zijn inloggegevens: gebruikersnamen en wachtwoorden van IPTV-panels, cloudtokens, WebDAV-accounts. Die zijn precies zo veilig als de plek waar ze staan. Op iOS is die plek de sleutelhanger, die versleuteld is, aan het apparaat gebonden en door niets anders leesbaar. Inloggegevens in de eigen database van een app zijn inloggegevens in de back-up van die app, en in alles wat die back-up kan lezen.

Het derde is wat je bezoekt, als de app een browser heeft. Cookies van een ingelogde sessie zijn zolang ze meegaan net zo goed als een wachtwoord. Die moeten voor de duur van een verzoek in het geheugen bestaan en daarna weg zijn — nooit naar schijf geschreven, nooit gelogd, nooit ergens heen gestuurd “voor diagnose”.

Een gratis app wordt door iets betaald. Meestal is dat reclame, een abonnement, of allebei — en elk daarvan heeft een eerlijke en een oneerlijke variant. De oneerlijke variant van reclame is de schermvullende onderbreking die tussen jou en je bezigheid gaat staan, of een reclame-SDK die vrij spel krijgt over elke identificatie die hij kan bereiken. De eerlijke variant is reclame die uit de weg blijft en je niet tussen apps door achtervolgt zodra je weigert gevolgd te worden.

Het is goed om te weten dat reclamenetwerken zelden één bedrijf zijn. Bij een bemiddelingsopstelling mogen meerdere netwerken bieden, wat betekent dat er meerdere SDK’s in de app zitten, elk met eigen beleid. Een app die ze bij naam noemt, vertelt je iets echts; een app die zegt “we kunnen externe reclamepartners inzetten”, vertelt je niets.

Hetzelfde geldt voor statistieken. Er is een wezenlijk verschil tussen een app die telt hoeveel mensen het downloadscherm openden en een app die vastlegt wát je downloadde. Het eerste is een productvraag. Het tweede is jouw bibliotheek, op iemands server, voorgoed.

Een toegangscode of Face ID-venster vóór een app is een schermvergrendeling. Die houdt tegen dat iemand met jouw ontgrendelde telefoon in de hand de app opent en door je bestanden bladert. Dat is een echt en nuttig dreigingsmodel — het is zelfs de dreiging waar de meeste mensen daadwerkelijk mee te maken krijgen — en beslist geen kleinigheid.

Wat het niet is, is versleuteling. De bestanden staan nog gewoon op schijf. Een forensisch hulpmiddel met de toegangscode van het apparaat, een volledige onversleutelde back-up, of een andere app die toegang tot dezelfde map heeft gekregen, komt dat slot helemaal niet tegen. Elke app die beweert dat een pincode je bestanden onherstelbaar maakt, verkoopt te veel, en het loont om op te merken wélke bewering een app doet.

Versleuteling op apparaatniveau is de laag die dat werk wél doet, en iOS geeft je die gratis: de hele schijf is versleuteld, en de toegangscode van het apparaat is wat hem ontgrendelt. Een app-vergrendeling zit daar als tweede deur bovenop, en die is juist de moeite waard omdat hij het alledaagse geval afdekt.